Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 2 van 10

Transcriptie

1 VERWERKERSOVEREENKOMST De ondergetekenden: 1. BEDRIJFSNAAM, gevestigd aan de STRAATNAAM + HUISNUMMER bij de Kamer van Koophandel geregistreerd onder nummer hierna te noemen: Verantwoordelijke,, POSTCODE te PLAATS KVK NUMMER en 2. DON Opleidingen B.V., gevestigd aan de Galgepad 11, 2671 MV te Naaldwijk, bij de Kamer van Koophandel geregistreerd onder nummer , hierna te noemen: Verwerker, hierna gezamenlijk aan te duiden als: Partijen ; OVERWEGENDE DAT A. Verwerkingsverantwoordelijke en Verwerker een overeenkomst hebben gesloten, hierna de Overeenkomst. In het kader van de uitvoering van de Overeenkomst verleent Verwerker diensten aan Verwerkingsverantwoordelijke. B. Verwerker in de uitvoering van de Overeenkomst en de levering van diensten aan Verwerkingsverantwoordelijke Persoonsgegevens verwerkt voor Verwerkingsverantwoordelijke. Onder verwerking van Persoonsgegevens wordt verstaan elke handeling of elk geheel van handelingen met betrekking tot Persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens. C. Verwerkingsverantwoordelijke de correcte naleving van de privacywetgeving, alsmede de correcte verwerking van haar Persoonsgegevens als uiterst belangrijk beschouwt. D. Partijen met deze Verwerkersovereenkomst invulling willen geven aan de wijze van verwerking van Persoonsgegevens door Verwerker. E. De bepalingen in deze Verwerkersovereenkomst gaan voor op alle andere afspraken die tussen Partijen gelden en betrekking hebben op de verwerking van Persoonsgegevens door Verwerker voor Verwerkingsverantwoordelijke. KOMEN ALS VOLGT OVEREEN: 1. Definities De termen Verwerker, Derde en Verwerkingsverantwoordelijke komen overeen met die in de zin van artikel 4 AVG. Daarnaast hebben de volgende termen de volgende betekenis: AP : Autoriteit Persoonsgegevens; AVG : De Algemene Verordening Gegevensbescherming. Deze verordening is per 25 mei 2018 van toepassing; UAVG : De Uitvoeringswet AVG. Deze wet is een gelaagde benadering waarbij een aantal onderwerpen uit de AVG nader zijn ingevuld; Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 1 van 10,

2 Betrokkene : de natuurlijke persoon waarop de Persoonsgegevens die Verwerker verwerkt voor Verwerkingsverantwoordelijke in het kader van de uitvoering van de Overeenkomst betrekking hebben; Beveiligingsincident : Ieder incident inzake de beveiliging van de Persoonsgegevens, waarbij Persoonsgegevens verloren zijn gegaan of toegankelijk (kunnen) zijn voor onbevoegden; Verwerkersovereenkomst : de onderhavige overeenkomst met de daarbij horende Bijlagen; Bijlage : Iedere bijlage bij deze Verwerkersovereenkomst, welke een onlosmakelijk deel daarvan uitmaakt; Diensten : Alle diensten die Verwerker aan Verwerkingsverantwoordelijke verleent, zoals omschreven in de Overeenkomst; EER : Europese Economische Ruimte, bestaande uit alle landen van de Europese Unie, Liechtenstein, Noorwegen en IJsland; Persoonsgegevens : Alle Persoonsgegevens die Verwerker ontvangt van of verwerkt voor Verwerkingsverantwoordelijke in het kader van de uitvoering van de Overeenkomst; Sub-Verwerker : een partij die door Verwerker wordt ingeschakeld (als Verwerker), voor de uitvoering van de Overeenkomst; 2. Algemeen 2.1. Deze Verwerkersovereenkomst betreft de diensten en de bepalingen uit onderhavige Verwerkersovereenkomst gaan voor op andere bepalingen met betrekking tot de verwerking van Persoonsgegevens tussen Partijen, tenzij uitdrukkelijk schriftelijk anders overeengekomen Verwerker zal de Persoonsgegevens verwerken in overeenstemming met de Overeenkomst en deze Verwerkersovereenkomst. Verwerkingsverantwoordelijke is ten aanzien van de verwerking van Persoonsgegevens Verwerkingsverantwoordelijke. Verwerker is Verwerker Verwerker en Verwerkingsverantwoordelijke verstrekken elkaar over en weer tijdig alle benodigde informatie om een goede naleving van de geldende privacywet- en regelgeving mogelijk te maken. 3. Gebruik Persoonsgegevens 3.1. Een overzicht van de Betrokkenen, de categorieën Persoonsgegevens en het doel waarvoor de Persoonsgegevens worden verwerkt, is opgenomen in Bijlage 1. Verwerker zal de Persoonsgegevens niet voor andere doeleinden of op andere wijze gebruiken dan voor het doel waarvoor de Persoonsgegevens zijn verstrekt of haar bekend zijn geworden Verwerker zal de Persoonsgegevens uitsluitend verwerken in opdracht van Verwerkingsverantwoordelijke in het kader van de uitvoering van de Diensten en de Overeenkomst of in verband met een wettelijke verplichting Verwerker zal de Persoonsgegevens niet aan een Derde verstrekken, tenzij deze uitwisseling plaatsvindt in het kader van de uitvoering van de Overeenkomst of Verwerkersovereenkomst of wanneer dit noodzakelijk is om te voldoen aan een wettelijke verplichting De Persoonsgegevens zullen worden opgeslagen en verwerkt binnen de Europese Economische Ruimte (EER). Verwerker draagt er zorg voor dat de Persoonsgegevens op geen enkele wijze buiten de EER worden verwerkt, niet via opslag in de cloud, noch door verwerking door ingeschakelde Derden vanuit een locatie buiten de Europese Unie, zoals in het kader van onderhoud op de IT-systemen, tenzij Verwerkingsverantwoordelijke daar schriftelijke toestemming voor heeft gegeven. In geval van schriftelijke toestemming zal Verwerker de landen waar de gegevens worden verwerkt opnemen in Bijlage 1. Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 2 van 10

3 4. Geheimhouding 4.1. Verwerker houdt de Persoonsgegevens die zij verwerkt in het kader van de uitvoering van de Overeenkomst geheim en zal alle nodige maatregelen treffen om geheimhouding van de Persoonsgegevens te verzekeren. Verwerker zal de verplichting tot geheimhouding tevens opleggen aan haar personeel en alle door haar ingeschakelde personen De in dit artikel bedoelde geheimhoudingsplicht geldt niet indien Verwerkingsverantwoordelijke uitdrukkelijk schriftelijk toestemming heeft gegeven om de Persoonsgegevens aan een Derde te verstrekken, of een wettelijke verplichting bestaat om de Persoonsgegevens aan een Derde te verstrekken 5. Beveiliging Persoonsgegevens 5.1. Verwerker zal in overeenstemming met de geldende wet- en regelgeving zodanige technische en organisatorische maatregelen treffen, in stand houden en zo nodig aanpassen, dat de Persoonsgegevens op passende wijze zijn beveiligd tegen verlies, onrechtmatige verwerking of onrechtmatige toegang. Verwerker draagt er zorg voor dat de door haar gebruikte systemen (inclusief beveiligingssoftware en verbindingen) en de Diensten voldoen aan de geldende wettelijke verplichtingen in verband met de verwerking van Persoonsgegevens Bij het vaststellen van de beveiligingsmaatregelen zal Verwerker rekening houden met de risico s van de verwerking, de aard van de Persoonsgegevens en met name van de verwerking van bijzondere Persoonsgegevens, zoals medische gegevens en de stand van de techniek. 6. Beveiligingsincidenten 6.1. Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging indien zich een incident voordoet met betrekking tot de verwerking van de Persoonsgegevens, waarbij de Persoonsgegevens verloren zijn gegaan of toegankelijk zijn voor onbevoegden In geval van een Beveiligingsincident zal Verwerker maatregelen treffen om de gevolgen van het incident en/of een nieuw incident te voorkomen. Verwerker zal alle medewerking verlenen aan Verwerkingsverantwoordelijke om aan de meldplicht datalekken en het mogelijk informeren van Betrokkenen te kunnen voldoen Partijen leggen hun afspraken over de informatie-uitwisseling in verband met incidenten vast in een Procedure Meldplicht Datalekken in Bijlage 2. Deze bijlage kan te allen tijde in overleg door Partijen worden gewijzigd. De bijlage zal in ieder geval worden aangepast indien de regelgeving meldplicht datalekken of de uitleg daarvan door de AP wijzigt In geval een beveiligingsincident leidt tot een meldplicht voor Verwerkingsverantwoordelijke, zal de melding in overleg met Verwerker door Verwerkingsverantwoordelijke worden verricht. Partijen zullen in goed overleg afspraken maken over de verdeling van de kosten die daarmee zijn gemoeid. 7. Verzoeken van Betrokkenen 7.1. Indien Verwerker een verzoek of klacht van een Betrokkene ontvangt, zoals een verzoek om inzage, verbetering, aanvulling, verwijdering of afscherming van Persoonsgegevens, stuurt Verwerker dat verzoek onmiddellijk door naar Verwerkingsverantwoordelijke Verwerker verleent Verwerkingsverantwoordelijke alle redelijke medewerking om ervoor te zorgen dat Verwerkingsverantwoordelijke binnen de wettelijke of contractuele termijnen kan voldoen aan haar verplichtingen met betrekking tot de rechten van betrokkenen. De redelijke kosten voor deze medewerking zullen door Verwerkingsverantwoordelijke aan Verwerker worden vergoed. Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 3 van 10

4 8. Sub-Verwerkers 8.1. Verwerker heeft bij de verwerking van de Persoonsgegevens de mogelijkheid om met toestemming van Verwerkingsverantwoordelijke Sub-Verwerkers in te schakelen. Verwerkingsverantwoordelijke zal een redelijk verzoek om toestemming niet onthouden Verwerker zal met de door haar ingeschakelde Sub-verwerkers een overeenkomst sluiten die in overeenstemming is met de relevante wet- en regelgeving en deze Verwerkersovereenkomst. 9. Toegang tot de Persoonsgegevens 9.1. De Persoonsgegevens behoren toe aan Verwerkingsverantwoordelijke. Op verzoek van Verwerkingsverantwoordelijke zal Verwerker de Persoonsgegevens in een gangbaar formaat ter beschikking stellen aan Verwerkingsverantwoordelijke. 10. Aansprakelijkheid en vrijwaring Indien een Partij tekortschiet in de nakoming van de verwerkersovereenkomst is deze Partij aansprakelijk voor de schade en kosten die de andere Partij daardoor lijdt of heeft geleden met inachtneming van hetgeen is bepaald over aansprakelijkheid en schadevergoeding in de Verwerkersovereenkomst. Verwerker is uitsluitend aansprakelijk voor directe schade en in geen geval voor gevolgschade, zoals reputatieschade, bedrijfsschade of inkomsten- of winstderving. De hoogte van de door Verwerker te betalen schadevergoeding zal nooit hoger zijn dan het door de verzekering uit te betalen bedrag voor het relevante schadegeval. Indien de door Verwerker afgesloten verzekering om wat voor reden dan ook geen dekking zou bieden, dan is Verwerker ten hoogste het door Verwerkingsverantwoordelijke betaalde bedrag aan Verwerker voor de dienstverlening van de getroffen personen over een periode van één jaar verschuldigd Verwerker vrijwaart Verwerkingsverantwoordelijke voor boetes en/of dwangsommen van of namens de AP en/of andere bevoegde autoriteiten die aan Verwerkingsverantwoordelijke worden opgelegd en waarbij vast is komen te staan dat deze zijn toe te schrijven aan overtredingen van de Wbp of (U)AVG door Verwerker met in achtneming van de genoemde beperkingen in het eerste lid van dit artikel. Om een beroep te kunnen doen op deze vrijwaring is Verwerkingsverantwoordelijke gehouden om: i. Verwerker terstond op de hoogte te brengen van enig onderzoek of andere aanleiding die zou kunnen leiden tot een voornemen van een toezichthouder tot het opleggen van een boete of last onder dwangsom, ii. in samenspraak met Verwerker te handelen en te communiceren richting de autoriteit en iii. tegen opgelegde boetes in bezwaar en/of beroep te gaan indien daar redelijkerwijs aanleiding voor is Verwerkingsverantwoordelijke vrijwaart Verwerker voor boetes en/of dwangsommen van of namens de AP en/of andere bevoegde autoriteiten die aan Verwerker worden opgelegd en waarbij vast is komen te staan dat deze zijn toe te schrijven aan overtredingen van de Wbp of (U)AVG door Verwerkingsverantwoordelijke. Om een beroep te kunnen doen op deze vrijwaring is Verwerker gehouden om: i. Verwerkingsverantwoordelijke terstond op de hoogte te brengen van enig onderzoek of andere aanleiding die zou kunnen leiden tot een voornemen van een toezichthouder tot het opleggen van een boete of last onder dwangsom, ii. in samenspraak met Verwerkingsverantwoordelijke te handelen en te communiceren richting de autoriteit en iii. tegen opgelegde boetes in bezwaar en/of beroep te gaan indien Verwerkingsverantwoordelijke daar redelijkerwijs aanleiding voor is. Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 4 van 10

5 11. Duur en beëindiging Deze Verwerkersovereenkomst treedt in werking op de datum van ondertekening en eindigt van rechtswege bij beëindiging van de Overeenkomst of de Diensten Verwerker zal bij beëindiging van de Overeenkomst op verzoek van Verwerkingsverantwoordelijke en tegen vergoeding van de redelijke kosten de Persoonsgegevens ter beschikking stellen aan Verwerkingsverantwoordelijke of aan een door Verwerkingsverantwoordelijke aangewezen Derde Verwerker zal na beëindiging van de Overeenkomst en na de verzochte overdracht van de Persoonsgegevens de nog aanwezige Persoonsgegevens vernietigen. 12. Wijziging Verwerkersovereenkomst In geval van wijzigingen in de Diensten of regelgeving die van invloed zijn op de verwerking van de Persoonsgegevens zullen Partijen in overleg treden over de eventueel benodigde wijziging van de Verwerkersovereenkomst. De wijzigingen in de tekst van deze Verwerkersovereenkomst kunnen uitsluitend schriftelijk door de bevoegde vertegenwoordigers van Partijen worden overeengekomen Wijzigingen in de Bijlagen geschieden schriftelijk onder vermelding van het versienummer en de datum van ingang van de nieuwe versie. 13. Toepasselijk recht / Bevoegde rechter Op deze Verwerkersovereenkomst is uitsluitend Nederlands recht van toepassing Alle geschillen die ontstaan naar aanleiding van deze Verwerkersovereenkomst worden beslecht op dezelfde wijze als opgenomen in de Overeenkomst of als dit in de Overeenkomst niet is geregeld: bij de bevoegde rechter. Aldus besproken, in tweevoud opgemaakt en ondertekend. Namens Verwerkingsverantwoordelijke Namens Verwerker DON Opleidingen B.V. Plaats: Plaats: Naaldwijk Datum: Datum:.... Naam: Naam: E.D. Don Functie: Functie: Directeur Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 5 van 10

6 Bijlage 1 Verwerking van persoonsgegevens I. De Persoonsgegevens die partijen verwachten te verwerken: Naam, adres, woonplaats; Volledig officiële voornamen; Geslacht; Telefoonnummer(s); adres(sen); Geboortedatum en geboorteplaats. II. Het doel van de verwerking: Het inschrijven van cursisten op een door de verwerker georganiseerde en/of verzorgde cursus of opleiding, al dan niet digitaal (e-learning). Het voorzien van cursisten - bij het met goed resultaat afleggen van de cursus - van een bewijs van deelname en/of certificaat. Na het met goed resultaat afleggen van een cursus met een geldige bevoegdheid: het bijschrijven van de cursus op een pasje en het toesturen van het nieuwe of bijgewerkte pasje aan de cursist. III. De categorieën van betrokkenen: Cursisten; Docenten / instructeurs; Externe organisatoren. Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 6 van 10

7 BIJLAGE 2 Procedure Meldplicht Datalekken Tussen Partijen zijn met betrekking tot de meldplicht datalekken de volgende afspraken gemaakt: A. Verwerker registreert Beveiligingsincidenten; B. In geval van een Beveiligingsincident informeert Verwerker Verwerkingsverantwoordelijke binnen 24 uur; C. Verwerkingsverantwoordelijke zal beoordelen of een melding verricht dient te worden bij de AP. Verwerkingsverantwoordelijke zal daarbij in overleg treden met Verwerker; D. Voordat Verwerkingsverantwoordelijke de melding bij de AP verricht zal Verwerkingsverantwoordelijke de inhoud van de melding met Verwerker bespreken; E. Indien Verwerkingsverantwoordelijke oordeelt dat tevens betrokkenen geïnformeerd dienen te worden over het datalek, zal Verwerkingsverantwoordelijke de inhoud van die informatie met Verwerker bespreken. Vragenlijst Beveiligingsincident bij de Procedure Meldplicht Datalekken Inleiding Vanaf 1 januari 2016 geldt de meldplicht datalekken en dient iedere onderneming een beveiligingsincident dat ernstig nadelige gevolgen kan hebben voor de bescherming van de persoonsgegevens te melden bij de Autoriteit Persoonsgegevens. In sommige gevallen dienen ook de getroffen personen te worden geïnformeerd. Om te beoordelen of een datalek moet worden gemeld, zal Verwerkingsverantwoordelijke van haar verwerkers informatie nodig hebben over alle beveiligingsincidenten die betrekking hebben op persoonsgegevens die de verwerker voor Verwerkingsverantwoordelijke verwerkt. De contactpersonen binnen Verwerkingsverantwoordelijke voor de meldplicht datalekken zijn: Wat zijn persoonsgegevens? Alle gegevens die je kunt herleiden naar een natuurlijk persoon (bijv. een rekeningnummer, ( )adres, geboortedatum, pasfoto, BSN, IP adres of kenteken) Wat is een beveiligingsincident? Ieder incident waarbij persoonsgegevens verloren zijn gegaan, op straat liggen of niet meer toegankelijk zijn; Voorbeelden: een verloren USB stick met een adressenbestand, gestolen smartphone, tablet of laptop, e- mail of brief met vertrouwelijk informatie versturen naar of bezorgen aan verkeerde ontvanger, computer hack, gebruik wachtwoord door onbevoegde personen, bepaalde bestanden met persoonsgegevens zijn niet meer toegankelijk. Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 7 van 10

8 Bij ieder beveiligingsincident dat betrekking heeft op persoonsgegevens die voor Verwerkings- Verantwoordelijke worden verwerkt moeten de volgende vragen worden beantwoord. A. Geef een omschrijving van het Beveiligingsincident: B. De persoonsgegevens van hoeveel personen zijn getroffen door het Beveiligingsincident? (geef een minimum en maximum aantal aan) C. Omschrijf de groep personen waarop de Persoonsgegevens betrekking hebben. Is er sprake van één van deze specifieke groepen personen (omcirkel het antwoord): Ouderen: Kinderen: Zieken of mensen met een verstandelijke beperking: JA / NEE JA / NEE JA / NEE D. Datum en tijdstip van het incident: (kan een vast tijdstip zijn of een periode, als dit niet bekend is onbekend invullen) Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 8 van 10

9 E. Wanneer is het beveiligingsincident ontdekt? F. Wat is de aard van de inbreuk? (Omcirkel de antwoorden en vul in waar nodig) Kan een onbevoegde de gegevens lezen: JA / NEE Kunnen/zijn de gegevens (worden) gekopieerd door een onbevoegde: JA / NEE Kunnen/zijn de (bron)gegevens (worden) gewijzigd (bv. hack in het systeem): JA / NEE Kunnen/zijn de (bron)gegevens (worden) verwijderd of vernietigd (bijv. Ransomware of brand datacenter): JA / NEE Zijn de gegevens gestolen: JA / NEE Overig: (invullen, of als de aard niet bekend is: onbekend invullen) G. Om welk type gegevens gaat het? (Omcirkel de antwoorden en vul in waar nodig) Naam-, adres- en woonplaatsgegevens: JA / NEE Telefoonnummer: JA / NEE adres of andere adres voor elektronische communicatie: JA / NEE Inloggegevens (gebruikersnaam/wachtwoord, klantnummer of ander identificatienummer): JA / NEE, Zo ja; welke gegevens zijn het: (invullen) Financiële gegevens (bijvoorbeeld rekeningnummer, creditcardnummer): JA / NEE Burgerservicenummer (BSN) of sofinummer: JA / NEE Paspoortkopieën of kopieën van andere legitimatiebewijzen: JA / NEE Geslacht: JA / NEE Geboortedatum en/of leeftijd: JA / NEE (Pas)foto: JA / NEE Geboorteland: JA / NEE Medische gegevens (waaronder ook medicijnen of medische hulpmiddelen): JA / NEE Biometrische gegevens (bijv. vingerafdruk, DNA): JA / NEE, Zo ja; welke gegevens zijn het: (invullen) Gegevens over schulden/kredieten: JA / NEE Inkomensgegevens: JA / NEE Gegevens over iemands betalingsverkeer: JA / NEE Gegevens over wettelijke vertegenwoordiging (bewindvoerder/mentor): JA / NEE Verslavingsgegevens: JA / NEE School/werkprestaties: JA / NEE Gegevens over relationele problemen: JA / NEE Gegevens over (vermoeden van) mishandeling: JA / NEE Religie: JA / NEE Strafrechtelijke gegevens (ook bijv. straatverboden): JA / NEE Politieke overtuiging: JA / NEE Vakbondslidmaatschap: JA / NEE Seksuele voorkeur/geaardheid: JA / NEE Overige gegevens:.. invullen) Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 9 van 10

10 H. Welke gevolgen kan de inbreuk hebben voor de getroffen personen? (Omcirkel de antwoorden en vul in waar nodig) Stigmatisering of uitsluiting: JA / NEE Schade aan de gezondheid: JA / NEE Kans op identiteitsfraude: JA / NEE Kans op financiële schade (bijv. fraude met creditcardgegevens): JA / NEE Blootstelling aan spam of phishing: JA / NEE Andere gevolgen, namelijk:. (invullen) I. Omschrijf welke technische en organisatorische maatregelen zijn getroffen om de inbreuk aan te pakken en om verdere inbreuken te voorkomen? J. Zijn de gelekte persoonsgegevens beveiligd? (Omcirkel de antwoorden en vul in waar nodig) Zijn de gegevens versleuteld: JA / NEE, Zo ja; welke versleuteling:.(invullen) Geldt deze versleuteling voor alle persoonsgegevens of voor een deel? JA / NEE, Indien voor een deel, voor welk deel:..(invullen) Zijn de gegevens gehasht: JA /NEE, Zo ja; op welke wijze:. (invullen) Kunnen de gegevens vanaf afstand worden gewist: JA /NEE, Zo ja; is dat gebeurd en wanneer is dat gebeurd:.. (invullen) Zijn de gegevens op een andere manier onbegrijpelijk of ontoegankelijk gemaakt: JA /NEE, Zo ja; op welke manier:.. (invullen) K. Zijn er Persoonsgegevens van personen in andere EU-landen getroffen door het Beveiligingsincident? Zo ja, welke uit welke landen: Verwerkersovereenkomst DON Opleidingen, versie 1.0 Pagina 10 van 10